Otonom Siber Savunma ve "Hack-Back" Yasallığı: 2026 NATO Ankara Zirvesi Gündeminde Bilişim Hukuku

Siber savaşlarda insan refleksleri artık yetersiz kalıyor. Bir hacker grubunun veya düşman devletin kritik altyapılarınıza sızması ile sistemlerinizin çökmesi arasındaki süre milisaniyelere inmiş durumda. Bu olağanüstü hız, savunma sanayiini ve siber güvenlik şirketlerini tek bir çözüme itiyor: Otonom Siber Savunma Sistemleri — yani bir saldırıyı tespit ettiği an, insan onayı beklemeden müdahale eden yapay zeka algoritmaları.

Ancak 7-8 Temmuz 2026 tarihlerinde Ankara'da düzenlenecek NATO Zirvesi'nin teknoloji hukuku masasında saatli bir bomba duruyor: "Hack-Back" (Aktif Siber Savunma) kavramı. Eğer yapay zeka sadece kalkanları kaldırmakla yetinmeyip saldırganın sunucularına otomatik bir karşı saldırı düzenlerse ne olur? Bir yazılımın kendi inisiyatifiyle başka bir ülkenin dijital sınırlarını ihlal etmesi, uluslararası hukukta bir savaş nedeni midir? Özel teknoloji şirketleri bu yetkiyi kullanabilir mi?

Bu rehberde; bilişim hukuku ve ulusal güvenlik kesişimindeki bu devasa tartışmayı, Türk Ceza Kanunu'ndan uluslararası çatışma hukukuna ve Ankara'daki siber güvenlik ekosisteminin dinamiklerine kadar tüm boyutlarıyla inceliyoruz.

📌 Önemli Noktalar (Hızlı Özet)

• Pasif ve Aktif Savunma Farkı: Sadece gelen saldırıyı engellemek yasal bir standartken; "hack-back" (karşı saldırı) yapmak, sivil şirketler için Türk Ceza Kanunu ve uluslararası hukuka göre suç teşkil edebilir.
• Atıf Sorunu (Attribution): Hackerlar genellikle masum ülkelerin sunucularını (zombi ağlar) kullanarak saldırır. Otonom bir sistemin yapacağı yanlış bir karşı saldırı, müttefik bir devleti (ve NATO 5. Maddeyi) karşınıza almanıza neden olabilir.
• Meşru Müdafaa Algoritması: Hukuktaki "meşru müdafaa ve orantılılık" kavramlarının bir yapay zeka koduna nasıl entegre edileceği, bilişim hukukunun en güncel tartışmasıdır.
• Devletin Şiddet Tekeli: Aktif karşı saldırı yetkisi uluslararası hukukta esas olarak egemen devletlere tanınır; sivil şirketlerin ve otonom sistemlerin bu yetkiyi kullanması son derece risklidir.
• Savunma Şirketleri İçin Risk: Ankara merkezli bilişim ve teknokent firmalarının, geliştirdikleri yazılımlarda "aktif karşı saldırı" modüllerinin hukuki sınırlarını sözleşme, ihracat kontrolü ve insan onayı mimarisiyle net belirlemesi zorunludur.

İçindekiler

• Hack-Back (Aktif Siber Savunma) Nedir?
• Aktif Savunma Spektrumu: Nerede Yasal, Nerede Suç?
• Neden Şimdi? Otonom Sistemler ve Hızın Hukuku
• Uluslararası Hukuk ve NATO Zirvesi: Makine Savaş İlan Edebilir mi?
• Türk Hukuku ve TCK Kapsamında Hack-Back Yasallığı
• Karşılaştırmalı Bakış: ABD ve Avrupa'da Durum
• Otonom Sistemlerde Sorumluluk Zinciri ve KVKK
• Ankara Bilişim Ekosistemi İçin Hukuki Yol Haritası
• Sıkça Sorulan Sorular

Hack-Back (Aktif Siber Savunma) Nedir?

Geleneksel siber güvenlik "pasif" bir direniştir. Güvenlik duvarları (firewall) örer, antivirüsler kurar ve gelen darbeyi savuşturursunuz. Hack-Back ise dijital bir bumerangdır: Sisteminize sızmaya çalışan IP adresini tespit eder, bu adrese kendi zararlı yazılımını gönderir, saldırganın sunucularını çökertir veya çalınan veriyi geri almak için karşı tarafın sistemine sızar.

Metaforik bir bakış: Pasif savunma, evinize taş atan birine karşı camlarınızı kurşun geçirmez yapmaktır. Hack-Back ise camınıza taş değdiği anda bahçenizdeki otomatik bir taretin, taşı atana doğru ateş açmasıdır. Sorun şudur: Ya taşı atan kişi, masum bir komşunuzun arkasına saklanmışsa? İşte bu basit soru, milyar dolarlık bir hukuki tartışmanın kalbinde yatıyor.

Aktif Savunma Spektrumu: Nerede Yasal, Nerede Suç?

Aktif siber savunma, tek bir şey değildir; bir yelpazedir. Bu yelpazenin bir ucu tamamen yasalken, diğer ucu açık bir suçtur. Hukuki riski doğru ölçmek için bu ayrımı bilmek şarttır:

• Tehdit İstihbaratı ve İzleme: Saldırganın yöntemlerini analiz etmek, log toplamak ve tehdit istihbaratı üretmek tamamen yasaldır.
• Tuzak Sistemler (Honeypot / Honeynet): Saldırganı kendi ağınız içindeki sahte bir sisteme çekip davranışını izlemek, kendi sisteminizde gerçekleştiği için genellikle hukuka uygundur.
• Beaconing / İz Sürme: Çalınan dosyaya, açıldığında konum bilgisi gönderen bir işaretçi yerleştirmek gri alandır; karşı sistemde kod çalıştırma boyutuna ulaştığında riskli hale gelir.
• Karşı Sisteme Erişim ve Müdahale (Asıl Hack-Back): Saldırganın sunucusuna izinsiz girmek, veri silmek veya sistemi çökertmek — işte hukuken "mayınlı" olan ve suç teşkil eden kısım budur.

Yani "aktif savunma yapıyoruz" ifadesi tek başına bir şey ifade etmez; kritik olan, eylemin karşı tarafın sistemine izinsiz müdahale eşiğini geçip geçmediğidir.

Neden Şimdi? Otonom Sistemler ve Hızın Hukuku

Hack-Back tartışması yıllardır var; ancak onu 2026'da kritik hale getiren şey otonomidir. Klasik senaryoda karşı saldırı kararını bir insan verirdi ve bu kararın hukuki sorumluluğu da o insana aitti. Yapay zeka destekli otonom savunma sistemleri ise saldırıyı milisaniyeler içinde tespit edip insan onayı beklemeden harekete geçebiliyor.

Bu durum, hukukun temel bir varsayımını sarsıyor: Kusur ve irade kime ait? Bir algoritmanın saniyenin binde biri içinde verdiği "karşı saldırı" kararının sonuçlarından kim sorumludur — yazılımı yazan mühendis mi, ürünü satan şirket mi, yoksa onu kullanan kurum mu? Ceza hukukunun "kast" ve "taksir" kavramları, kararı insanın vermediği bu senaryolar için tasarlanmamıştır. NATO Zirvesi gündemindeki asıl gerilim de buradan doğuyor.

Uluslararası Hukuk ve NATO Zirvesi: Makine Savaş İlan Edebilir mi?

2026 Ankara NATO Zirvesi'nde, Dijital Dönüşüm Stratejisi bağlamında masaya yatırılacak en büyük çıkmazlardan biri, otonom hack-back sistemlerinin uluslararası çatışma hukukuna (jus ad bellum ve jus in bello) entegrasyonudur. Siber operasyonların uluslararası hukuka nasıl uygulanacağına dair en kapsamlı akademik çalışma olan Tallinn El Kitabı (Tallinn Manual) gibi kaynaklar bu alanda referans kabul edilse de, bu metinler bağlayıcı birer antlaşma değil, yorum rehberidir; bu da belirsizliği derinleştirir.

1. En Büyük Tehlike: Atıf Sorunu (Attribution Problem)

Siber saldırganlar asla kendi IP adreslerini kullanmazlar. Örneğin bir hacker grubu, Türkiye'deki bir savunma sanayii firmasına saldırırken trafiğini başka bir ülkedeki bir hastanenin zayıf sunucuları üzerinden (proxy) geçirebilir. Eğer Türkiye'deki firmanın otonom siber savunma yapay zekası "hack-back" kararı alır ve kaynağı vurursa, o ülkedeki hastanenin yoğun bakım ünitelerini çökertebilir.

Bu durum, iki müttefik ülke arasında uluslararası bir krize ve potansiyel bir tazminat/savaş hukuku davasına dönüşür. Algoritmanın "yanılma payı", uluslararası diplomaside kabul edilemez bir risktir. Üstelik atıf, sadece teknik değil hukuki bir ispat sorunudur: Bir saldırının arkasında bir devletin mi yoksa bağımsız bir grubun mu olduğunu kanıtlamak, 5. Madde gibi ağır sonuçlar doğuran bir mekanizma için son derece yüksek bir delil eşiği gerektirir.

2. Şiddet Tekeli ve Özel Şirketler

Devletlerin siber ordularının karşı saldırı yapması ulusal güvenlik stratejisi kapsamında değerlendirilir. Ancak özel bir siber güvenlik şirketinin veya bankanın "hack-back" yapması, devletin "şiddet kullanma tekelini" (monopoly on the use of force) gasp etmesi anlamına gelir. NATO doktrinleri, sivil kurumların aktif siber savunma yapmasını son derece riskli bulmakta ve sınır ötesi müdahalelerin yalnızca devlet kontrolünde (military-led) yürütülmesini savunmaktadır.

3. Devletin Meşru Müdafaa Hakkı ile Şirketin Durumu Aynı Değil

BM Antlaşması'nın 51. maddesi, bir devletin silahlı saldırıya karşı meşru müdafaa hakkını düzenler. Ancak bu hak devletlere tanınmıştır; özel bir şirketin "ben de meşru müdafaa yaptım" diyerek başka bir ülkedeki sunuculara saldırması, uluslararası hukukta bu çerçeveye oturmaz. Şirketin eylemi, ulusal ceza hukuku kapsamında bir "bilişim suçu" olarak değerlendirilir.

Türk Hukuku ve TCK Kapsamında Hack-Back Yasallığı

Türkiye'de faaliyet gösteren bilişim firmaları için "hack-back" son derece mayınlı bir hukuki alandır. Türk Ceza Kanunu (TCK), bilişim suçlarını net bir şekilde tanımlar ve "saldırıya uğradım" savunması bu suçlar bakımından otomatik bir hukuka uygunluk sebebi değildir.

TCK Madde 243, 244 ve 245: Bilişim Suçları

Karşı taraf bir "saldırgan" olsa bile, onun bilişim sistemine hukuka aykırı olarak girmek (TCK m. 243), sistemi engellemek, bozmak, verileri yok etmek veya değiştirmek (TCK m. 244) açık birer suçtur. Ayrıca TCK m. 245 banka/kredi kartları bağlamında ek koruma getirir. "O bana saldırmıştı, ben de karşılık verdim" argümanı, bu suçlarda doğrudan bir beraat sebebi olarak işlemez; failin eylemi bağımsız bir suç olarak değerlendirilir.

Algoritmik Meşru Müdafaa Mümkün mü? (TCK m. 25)

Türk hukukunda "meşru müdafaa" (TCK m. 25/1) şartlarının oluşması için saldırının haksız olması, halen devam ediyor (ya da tekrarı muhakkak) olması ve savunmanın saldırıyla "orantılı" olması gerekir. Hack-Back senaryosunda bu şartların tamamı tartışmalıdır:

• Devam eden saldırı şartı: Veriler çoktan sızdırıldıysa saldırı "bitmiş" sayılabilir; bitmiş bir saldırıya karşı yapılan müdahale meşru müdafaa değil, bir misillemedir.
• Orantılılık şartı: Bir veri hırsızlığını engellemek için karşı tarafın tüm sunucu altyapısını yakmak (wipe atmak), orantılılığı açıkça aşar.
• Hedefin doğruluğu: Atıf sorunu nedeniyle yanlış (masum) bir sisteme müdahale, meşru müdafaayı baştan geçersiz kılar.

Zorunluluk hali (TCK m. 25/2) de benzer şekilde dar yorumlanır ve otomatik bir karşı saldırıyı meşru kılması beklenmez. Üstelik otonom bir yapay zekanın "orantılılık" kavramını hukuki bir insan gibi tartması mevcut teknolojide mümkün değildir; bu da algoritmik meşru müdafaa iddiasını pratikte temelsiz bırakır.

Karşılaştırmalı Bakış: ABD ve Avrupa'da Durum

Hack-Back tartışması Türkiye'ye özgü değil; küresel bir ikilemdir ve diğer hukuk sistemleri de büyük ölçüde "yasaktır" çizgisinde durur:

• ABD: Hack-Back, esas olarak Computer Fraud and Abuse Act (CFAA) kapsamında yasa dışıdır. Sivil şirketlere sınırlı bir aktif savunma yetkisi tanımayı öneren "Active Cyber Defense Certainty Act (ACDC)" gibi yasa teklifleri zaman zaman gündeme gelmiş ancak yasalaşmamıştır. Yani ABD'de de varsayılan kural yasaktır.
• Avrupa Birliği: NIS2 Direktifi gibi düzenlemeler, kritik altyapı operatörlerine güçlü savunma ve bildirim yükümlülükleri getirir; ancak bunlar bir "karşı saldırı yetkisi" değil, dayanıklılık ve raporlama odaklı pasif/proaktif savunma çerçeveleridir.

Bu tablo, Türkiye'deki yaklaşımın uluslararası eğilimle uyumlu olduğunu gösterir: Aktif karşı saldırı, istisnai ve devlet kontrolünde bir alandır; özel sektörün varsayılan hareket alanı pasif ve proaktif savunmadır.

Otonom Sistemlerde Sorumluluk Zinciri ve KVKK

Otonom bir savunma yazılımı yanlış bir hedefe müdahale ettiğinde ortaya çıkan zarardan kim sorumlu olur? Burada çok katmanlı bir sorumluluk zinciri devreye girer:

• Yazılımı kullanan kurum: Aracı devreye alan ve "aktif" moda geçiren taraf olarak birincil sorumluluk genellikle buradadır.
• Yazılımı üreten firma: Ayıplı/kusurlu bir algoritma söz konusuysa "ürün sorumluluğu" ve haksız fiil hükümleri gündeme gelir.
• Zarar gören üçüncü taraf: Masum sistem sahibi, hem maddi tazminat hem de veri ihlali kaynaklı talepler ileri sürebilir.

KVKK boyutu: Hack-Back sırasında karşı sistemde kişisel veriler işlenir, kopyalanır veya silinirse, bu durum 6698 sayılı Kanun kapsamında ayrı bir hukuka aykırı veri işleme oluşturabilir. Yani bir tek karşı saldırı, hem bilişim suçu hem haksız fiil hem de veri koruma ihlali sonucunu aynı anda doğurabilir. Bu üçlü risk, otonom sistemlerin hukuki tasarımını kritik hale getirir.

Ankara Bilişim Ekosistemi İçin Hukuki Yol Haritası

Ankara, Türkiye'nin siber güvenlik başkentidir. ODTÜ Teknokent, Bilkent Cyberpark, Hacettepe Teknokent ve OSTİM merkezli siber güvenlik firmaları, yapay zeka destekli otonom savunma ürünleri geliştirmekte ve bunları dünyaya ihraç etmektedir. 2026 NATO Zirvesi sonrası şekillenecek regülasyonlara uyum sağlamak için firmaların atması gereken hukuki adımlar şunlardır:

1. Sözleşmelerde Sorumluluk Reddi (Disclaimer of Liability): Geliştirilen otonom yazılımların Son Kullanıcı Lisans Sözleşmelerine (EULA), "aktif savunma (hack-back) özelliklerinin kullanımından doğacak her türlü ulusal/uluslararası hukuki ve cezai sorumluluğun ürünü kullanan kuruma ait olduğu" maddesi katı bir şekilde eklenmelidir.
2. İnsan Onay Mekanizması (Human-in-the-Loop): Yazılımın otonomi seviyesi ne kadar yüksek olursa olsun, karşı tarafa müdahale içeren eylemlerde nihai onayın her zaman bir sistem yöneticisine (insana) bırakıldığı hibrit mimariler tasarlanmalıdır. Bu, "taksirle suç işleme" iddialarına karşı en güçlü hukuki kalkandır.
3. İhracat Kontrol Hukuku Uyumu: "Hack-back" kapasitesine sahip bir yazılım, uluslararası hukukta bir siber silah (cyber-weapon) olarak değerlendirilebilir. Bu ürünlerin ihracatı, savunma sanayii ihracat rejimlerine ve Wassenaar Düzenlemesi gibi uluslararası kısıtlamalara tabi olabilir. İhracat sözleşmeleri bu gözle denetlenmelidir.
4. KVKK ve Veri Haritalaması: Aktif savunma sırasında hangi verilerin işlendiği önceden haritalanmalı; karşı sistemde kişisel veri işleme ihtimaline karşı süreçler 6698 sayılı Kanun'a uygun tasarlanmalıdır.
5. Loglama ve Denetlenebilirlik: Otonom sistemin her kararı, sonradan hukuki olarak denetlenebilmesi için değiştirilemez şekilde loglanmalı; "neden bu hedef seçildi?" sorusuna teknik ve hukuki bir cevap üretilebilmelidir.

Sıkça Sorulan Sorular

Hack-Back (Aktif Siber Savunma) Türkiye'de yasal mı?

Hayır. Türk Ceza Kanunu'na göre özel şirketlerin veya şahısların, kendilerine saldıran taraf dahi olsa başka bir bilişim sistemine izinsiz girmesi, veri silmesi veya sistemi bozması suçtur. Güvenlik; pasif savunma, tehdit istihbaratı ve adli mercilere şikayet ile sınırlıdır.

Meşru müdafaa siber saldırılarda geçerli midir?

Teorik olarak meşru müdafaa hükümleri siber alanda da tartışılabilir; ancak pratikte saldırının "halen devam etmesi" ve savunmanın "orantılı" olması şartları çoğu hack-back senaryosunda gerçekleşmez. Karşı tarafın sistemine zarar vermek, çoğunlukla meşru müdafaa sınırlarını aşarak faili suçlu duruma düşürür.

Honeypot (tuzak sistem) kurmak da yasa dışı mı?

Hayır. Honeypot, saldırganı kendi ağınız içindeki sahte bir sisteme çekip davranışını izlemektir ve kendi sisteminizde gerçekleştiği için genellikle hukuka uygundur. Yasal risk, eylem karşı tarafın sistemine izinsiz müdahale boyutuna ulaştığında başlar.

NATO, üye devletlerin Hack-Back yapmasına izin veriyor mu?

NATO, devletlerin meşru müdafaa hakkı kapsamında siber uzayda uluslararası hukuk çerçevesinde orantılı karşılık verebileceğini kabul eder. Ancak bu hakkın yalnızca egemen devletler tarafından kullanılabileceği; sivil şirketlerin ve otonom sistemlerin bu yetkiye sahip olmaması gerektiği vurgulanır.

Otonom savunma yazılımı yanlışlıkla masum bir sunucuyu çökertirse kim sorumlu olur?

Çok katmanlı bir sorumluluk zinciri devreye girer. Yazılımı kullanan kurum (birincil), hatalı algoritmayı üreten firma (ürün sorumluluğu) ve zarar gören üçüncü taraf arasında haksız fiil, ürün sorumluluğu ve olası KVKK ihlali kapsamında tazminat talepleri doğabilir.

Bir yazılımcı, hack-back özelliği geliştirdiği için cezai sorumluluk taşır mı?

Yazılımın tasarımı, kullanım amacı ve sözleşmesel çerçevesi belirleyicidir. Özelliğin nasıl konumlandırıldığı, insan onayı mimarisinin bulunup bulunmadığı ve sözleşmedeki sorumluluk dağılımı, geliştiricinin hukuki riskini doğrudan etkiler. Bu nedenle ürün daha tasarım aşamasındayken hukuki danışmanlık alınması kritiktir.

Şirketim saldırıya uğradı; yasal olarak ne yapabilirim?

Pasif savunmayı güçlendirebilir, olayı delilleriyle kayıt altına alabilir, tehdit istihbaratı üretebilir ve durumu adli mercilere (Cumhuriyet Başsavcılığı / siber suçlarla mücadele birimleri) ve ilgili kurumlara bildirebilirsiniz. Karşı saldırı yerine, hukuki süreç ve kurumsal koordinasyon en güvenli yoldur.

Bu yazı; bilişim hukuku, siber güvenlik regülasyonları ve 2026 NATO Zirvesi gündemine ilişkin genel bir perspektif sunmakta olup, hukuki tavsiye niteliği taşımamaktadır. Somut uyuşmazlıklar için uzman bir avukata danışınız.